Paraluni被攻击事件分析：一张支票提款两次的作案

北京时间2022年3月13日上午9:04，CertiK安全技术团队监测到Paraluni‘s MasterChef 合约遭到攻击，大约170万美元的资金通过多笔交易从该项目中被盗。

下文CertiK安全团队将从该项目的操作及合约等方面为大家详细解读并分析。

合约地址

Masterchef合约: https://bscscan.com/address/0 xa386f30853a7eb7e6a25ec8389337a5c6973421d＃code

攻击者部署了两个恶意的代币合约UGT和UBT。

在UBT代币合约中，有两个恶意的函数实现：

1. 在 "transferFrom() "函数中，攻击者实现了对MasterChef的 "deposit() "函数的调用，以存入LP代币。

2. 一个 "withdrawAsset() "函数，将调用Masterchef的 "withdraw() "来提取存入的LP代币。

攻击阶段:

• 攻击者利用闪电贷获得了156,984 BSC-USD和157,210 BUSD。

• 攻击者向ParaPair发送通过闪电贷获得的BSC-USD和BUSD代币，并收到155,935枚LP代币作为回报。

• 然后，攻击者调用 "depositByAddLiquidity() "函数，将LP代币存入资金池。

1. 在调用此函数时：输入参数“_pid ”为18，“_tokens ”为[UGT,UBT]。

2. 因为 depositByAddLiquidity() 会调用 “UBT.transferFrom()” 函数, 因此MasterChef.deposit() 函数会被触发并且向合约存入 155,935 LP 代币。

3. 因此, 155,935 LP 代币被存入了两次并且攻击者获得了两份“userInfo” 的记录 (一次是从 UBT, 另一次是从攻击者的合约）。

• 最后，攻击者提取了两次:

1. 第一次是通过函数“UBT.withdrawAsset()”。

2. 另一个是来自攻击者对 “Masterchef.withdraw() ”函数的调用。最后，攻击者删除了流动资金并返还了闪电贷。

• `depositByAddLiquidity()`函数通过调用`addLiquidityInternal()`函数，触发了传入恶意代币（UBT）的“transferFrom”函数，进而导致了重入的问题。因此，同一份LP代币被存入两次。

BNB仍然在攻击者在BSC的地址中，235个ETHs则通过Birdge转移到以太坊，并通过Tornado进行洗白。

时刻关注函数的外部输入，尽量避免传入合约地址作为参数。

关注外部调用，为所有可能出现重入危险的外部调用函数加上“nonReentrant”修饰函数。

本次事件的预警已于第一时间在CertiK项目预警推特【https://twitter.com/CertiKAlert】进行了播报。

除此之外，CertiK官网https://www.certik.com/已添加社群预警功能。在官网上，大家可以随时看到与漏洞、黑客袭击以及Rug Pull相关的各种社群预警信息。